Письмо «Расскажите, какие мои данные у вас есть» нельзя автоматически переслать системному администратору или оставить без ответа. Сначала нужно проверить личность отправителя, понять содержание запроса и собрать сведения из всех процессов компании.
Что человек вправе узнать
Статья 14 Федерального закона № 152-ФЗ дает человеку право получить информацию об обработке его данных. В ответе могут потребоваться:
- подтверждение факта обработки;
- цели и правовые основания;
- способы обработки;
- данные, которые относятся к заявителю, и источник их получения;
- сроки обработки и хранения;
- сведения о получателях и обработчиках по поручению;
- информация о трансграничной передаче;
- порядок осуществления прав;
- сведения о принятых оператором мерах.
Ответ должен быть понятным и не содержать персональные данные других людей без законного основания. Выгрузка всей карточки из CRM без проверки может раскрыть внутренние комментарии, контакты работников или сведения другого клиента.
Как проверить запрос
Закон устанавливает требования, которые помогают подтвердить заявителя: данные документа, удостоверяющего личность, сведения о его выдаче, подтверждение отношений с оператором и подпись. Электронный запрос может быть подписан электронной подписью.
Если обычное письмо не позволяет надежно определить человека, его не стоит игнорировать. Безопаснее сообщить, каких сведений не хватает для рассмотрения. Иначе компания рискует либо отказать настоящему заявителю, либо раскрыть данные постороннему.
Проверяйте и полномочия представителя. Родство, должность или знакомый адрес электронной почты сами по себе не всегда подтверждают право получить чужие сведения.
Сначала определите вид требования
Люди редко используют точные формулировки закона. Фраза «удалите все обо мне» может одновременно содержать отзыв согласия, требование прекратить рекламу и просьбу уничтожить данные. Для каждого действия могут действовать разные правила.
| Что просит человек | Основной ориентир по сроку | Что делает оператор |
|---|---|---|
| Предоставить сведения об обработке | 10 рабочих дней, возможно продление не более чем на 5 рабочих дней с мотивированным уведомлением | Проверяет личность, собирает сведения и готовит доступный ответ |
| Уточнить неточные данные | После подтверждения неточности уточняет данные в течение 7 рабочих дней | Исправляет сведения и снимает блокирование |
| Прекратить обработку | 10 рабочих дней, возможно продление не более чем на 5 рабочих дней | Проверяет исключения, останавливает действия без основания |
| Отозвать согласие | До 30 дней для прекращения и уничтожения, если другого основания нет | Разделяет процессы по целям и основаниям |
| Сообщить о неправомерной обработке | Срок зависит от результата проверки и требований статьи 21 | Блокирует спорные данные, проверяет факты, устраняет нарушение или уничтожает данные |
Таблица дает общий маршрут. Перед ответом нужно проверить фактическое содержание обращения и применимое основание, а не выбирать срок только по теме письма.
Как организовать ответ
Регистрация → проверка личности и полномочий → классификация требования → поиск по системам и подрядчикам → юридическая проверка → ответ в нужной форме → фиксация исполнения.
| Шаг | Практическое действие |
|---|---|
| Зарегистрировать | Зафиксировать дату, канал, заявителя и контрольный срок |
| Найти данные | Проверить CRM, почту, договоры, обращения, рассылки и подрядчиков |
| Проверить основания | Отделить данные, которые можно раскрыть, от сведений других людей и охраняемой законом информации |
| Подготовить ответ | Писать понятным языком, указать процессы, основания и сроки хранения |
| Выполнить требование | При необходимости уточнить, заблокировать, прекратить обработку или уничтожить данные |
| Сохранить доказательства | Зафиксировать ответ, отправку и действия в системах |
По общему правилу ответ дают в той форме, в которой поступил запрос, если заявитель не указал другой вариант.
Тейк юриста: срок начинает идти с получения запроса, а не с момента, когда письмо дошло до юриста. Поэтому общий адрес для обращений должен регулярно проверяться, а на отпуск ответственного нужен заместитель.
Можно ли отказать
Право на доступ может быть ограничено только в случаях, установленных федеральным законом. Отказ должен быть мотивированным и содержать ссылку на конкретное правовое основание. Формулы «информация конфиденциальна» недостаточно.
Не стоит отказывать только потому, что запрос неудобный или компания уже отвечала раньше. Для повторного доступа закон устанавливает отдельные правила, включая общий 30-дневный интервал и предусмотренные исключения. Такой запрос лучше зарегистрировать и проверить по существу.
Заранее настроенный регламент помогает не раскрыть лишнее и не пропустить срок. Это снижает риск жалобы в Роскомнадзор, проверки и штрафа, а сотрудники не бросают основную работу при каждом обращении.